Empêcher les fraudes par usurpation de compte (ATO) dans les services bancaires et financiers

Alors que les clients quittent les banques et les établissements traditionnels de services financiers traditionnels pour adopter des solutions uniquement en ligne, la transformation digitale entraîne de nouveaux défis pour certaines entreprises. Selon une étude menée by Security.org, un tiers des tentatives de connexion à des services financiers et à des établissements financiers dans le monde digital sont suspectées d’être des tentatives d’usurpation de compte. La valeur moyenne des pertes financières dues à des usurpations de comptes sur des comptes financiers s’élevait à environ 12 000 dollars.

La fraude par usurpation de compte commence régulièrement par des identifiants compromis ayant été volés, trouvés sur le dark web ou obtenus lors d’attaques de phishing qui piègent les utilisateurs afin qu’ils révèlent leurs informations de connexion aux fraudeurs. Étant donné que les clients réutilisent et partagent leurs mots de passe, le risque de fraude par usurpation de compte augmente de manière exponentielle.

Une fraude par usurpation de compte est réalisée via une série d’étapes, commençant typiquement avec l’utilisation d’identifiants compromis. Le fraudeur commence par apporter de petits changements à un compte, souvent en changeant le mot de passe, pour que le propriétaire légitime du compte ne puisse plus y accéder. Le fraudeur passe ensuite aux transactions financières, notamment des virements, jusqu’à ce que la fraude soit détectée ou que le compte du client ait été vidé. Ce client pourrait nécessiter des mois, voire des années, pour rattraper les dommages causés par les fraudeurs.

Dommages collatéraux pour les consommateurs et les institutions

Plus le fraudeur parvient à rassembler de données à caractère personnel (PII), plus il sera facile d’usurper d’autres comptes, notamment des comptes connectés aux partenaires de l’institution. Les fraudeurs peuvent également utiliser les PII pour créer de nouveaux comptes frauduleux en utilisant les informations sur la victime.

L’impact des fraudes par usurpation de comptes sur les institutions est très vaste, incluant notamment :

• Les coûts directs de la fraude pour chaque événement.

• Les coûts d’assistance clientèle et informatiques associés à l’aide apportée aux victimes ainsi qu’aux autres institutions financières et partenaires connectés au compte de la victime.

• La perte de la valeur vie client (CLV) pour les clients et leurs réseaux d’amis et familiaux qui déplacent leurs comptes vers d’autres institutions.

• Les pertes résultant des dommages causés à la marque non seulement au niveau de ses clients et de leurs réseaux, mais aussi lors de la diffusion des informations sur les réseaux sociaux ou lors des rapports d’actualité.

L'authentification multifacteur (MFA) et l'authentification à double facteur (2FA) procurent aux banques et autres institutions financières une couche de sécurité supplémentaire pour empêcher les fraudeurs d’utiliser des identifiants compromis pour accéder aux comptes clients. Certaines institutions financières fournissent également des documents expliquant l’importance de ces mesures de sécurité sur leur site Web.

La MFA et la 2FA demandent aux utilisateurs de fournir la preuve de leur identité avec plus d’une catégorie d’authentification dont :

• Connaissance - Quelque chose que je sais. Les mots de passe (la forme la plus faible d’authentification), les codes PIN, les réponses à des questions de sécurité et autres informations personnelles liées au client.

• Possession - Quelque chose que j’ai. Mots de passe à usage unique ou autres jetons non physiques envoyés vers un smartphone ou un autre terminal en possession du client. Les jetons physiques, notamment les terminaux de type USB ou générateurs de codes séparés, entrent également dans cette catégorie.

• Biométrie - Quelque chose que je suis. Les traits dont nous avons hérité sont uniques à chaque individu. Ils peuvent être confirmés en scannant l’empreinte digitale, la reconnaissance faciale, vocale ou de la rétine.

Les fraudeurs possèdent rarement plusieurs types d’authentification, donc l’accès aux comptes leur est refusé.

L’authentification multifacteur fait partie d’une solution de gestion des identités et des accès client (CIAM) évolutive, destinée aux institutions financières, qui inclut également l’enregistrement, la gestion du compte en libre-service, la gestion du consentement et des préférences, le single sign-on (SSO), le contrôle des accès, les services d’annuaire et les outils de gouvernance des accès aux données. Les solutions de CIAM garantissent une expérience client sécurisée et fluide sur n’importe quel terminal et à tout moment.

Regardez cette courte vidéo pour voir à quel point cette procédure est fluide pour les clients.

Étant donné que les institutions financières sont réglementées, la réduction des risques de fraude va au-delà des pertes pour les entreprises et les clients. Les réglementations exigent que des solutions soient mise en place pour protéger les données des clients et permettre aux clients de contrôler la manière dont leurs informations sont partagées. Les standards Open banking, la Directive sur les services de paiement 2 (DSP2), la Norme de sécurité de l’industrie des cartes de paiement (PCI DSS) et d’autres réglementations garantissent que les informations des clients soient protégées et stockées dans un environnement sécurisé. Les solutions de gestion des identités et des accès (CIAM) destinées aux institutions financières aident à garantir la conformité aux réglementations.

Si le but ultime est d’empêcher les fraudes, des outils modernes de détection des fraudes en ligne ont été développés pour identifier le comportement anormal des utilisateurs si des fraudeurs parviennent à accéder aux comptes. Les fraudes par ATO peuvent être réalisées en utilisant des méthodes manuelles et/ou automatisées, sachant que l’activité frauduleuse des bots est plus facile à détecter que les activités impliquant des hommes.

Les outils de détection des fraudes ont recours à l’intelligence artificielle (IA) pour disséquer des centaines de points de données sur l’utilisateur, incluant les interactions humain-appareil, les attributs du terminal et les activités du compte, pour distinguer les utilisateurs légitimes et les fraudeurs. Étant donné que les comportements automatisés et frauduleux ne suivent pas les mêmes schémas que l’activité d’un utilisateur légitime, l’analyse du comportement et du contexte permet d’identifier les décalages. Les outils de détection des fraudes activés lorsqu’une session commence, peuvent reconnaître cette activité anormale pendant la session et stopper la fraude avant qu’elle n’ait lieu.

Regardez cette courte vidéo pour découvrir comment les outils de détection des fraudes en ligne et la MFA œuvrent ensemble pour empêcher les fraudes.

Pour en savoir plus sur les fraudes en ligne, veuillez lire Tout ce que vous devez savoir sur les fraudes en ligne.